Was Unternehmen beim Umgang mit Cyberattacken beachten sollten

Vorbereitet sein!

Cyberattacken gelten als Bedrohung Nummer 1 für Unternehmen. Umso wichtiger ist es, auf mögliche Vorfälle vorbereitet zu sein. Dadurch kann im Ernstfall der Umgang mit der Krise leichter fallen. Welche Punkte es dabei zu beachten gilt, beleuchten Johannes Fischer und Joshija Kelzenberg von Crunchtime Communications.

Bild: ©VideoFlow/stock.adobe.com

Bild: ©VideoFlow/stock.adobe.com

Laut dem Allianz Risk Barometer 2023 (Seite 1) sehen Unternehmen Cyber-Vorfälle das zweite Jahr in Folge als größtes Geschäftsrisiko. In der Tat vergeht kaum ein Tag, an dem nicht eine neue erfolgreiche Cyber-Attacke öffentlich wird. So soll im Sommer 2022 beim Autozulieferer Continental die Ransomware-Gruppe ‘Lockbit 3.0’ 40 Terabyte an Daten erbeutet haben. Das ist nur eines von zahlreichen Beispielen. Rund jedes zweite Unternehmen war 2022 von einem Cyber-Angriff betroffen. Das BKA geht von einer noch höheren Dunkelziffer aus. Industrieunternehmen sind einem besonders großen Risiko ausgesetzt. Nicht nur, weil die weiter fortschreitende Digitalisierung von Lieferketten und Produktionsanlagen zusätzliche Angriffsflächen bietet und das finanzielle Schadensrisiko bei industriellen Produkten besonders groß ist. Auch die aktuellen geopolitischen Krisen, die ein starker Treiber von Cyber-Attacken sind, machen die Industrie besonders anfällig. Im Fokus der Angreifer stehen zunehmend kritische Infrastrukturen und öffentlichkeitswirksame Ziele – somit auch die Industrie. Die allermeisten Unternehmen sind sich des großen Risikos bewusst und die Investitionen in Cyber-Sicherheit nehmen Jahr für Jahr signifikant zu. Dennoch ist das Risiko bislang nicht ausreichend beherrschbar, wie das Beispiel Continental und die insgesamt hohen Fallzahlen zeigen. Und laut Cyber Readiness Report 2022 sahen weniger als zwei Prozent der Cyber-Sicherheitsverantwortlichen ihr Unternehmen ausreichend für einen möglichen Cyber-Angriff gewappnet. Krisenprävention und -vorbereitung ist bei Cyber-Krisen absolut erfolgskritisch und sollte auf der Prioritätenliste eines jeden Unternehmens ganz oben stehen.

Vorbereitet sein

Jenseits der technologischen Anforderungen und Möglichkeiten, erweisen sich aus kommunikativer und organisatorischer Perspektive die nachfolgenden sieben Faktoren als besonders relevant und wirksam. Einerseits um das Eintrittsrisiko und Schadenspotenzial zu minimieren. Andererseits um für den Ernstfall eine schnelle und zielgerichtete Reaktion sicherzustellen.

  • •  Direkte Anbindung an die Geschäftsleitung: Die Verantwortung für Cyber-Krisenmanagement muss bei der Unternehmensleitung angesiedelt sein und benötigt dort unmittelbare Aufmerksamkeit. Zum einen, weil Cyber-Krisen ein signifikantes Risiko für Geschäft und Reputation darstellen und vergleichsweise schnell ein existenzgefährdendes Ausmaß annehmen können. Zum anderen, weil nur so die für die Sensibilisierung der gesamten Organisation erforderliche Ernsthaftigkeit und Verbindlichkeit gegeben ist. Die Implementierung eines Chief Information Security Officer (kurz CISO) kann das ermöglichen. Hierbei handelt es sich in der Regel um ein Mitglied des Vorstands, das die Gesamtverantwortung für die IT-Sicherheit im Unternehmen innehat. Dies bietet sich insbesondere in Großunternehmen an, um Vorstände zu entlasten und die Kompetenzen im Bereich IT-Sicherheit zu bündeln. Gerade Unternehmen, die Teil der kritischen Infrastruktur sind und regelmäßig behördlich nachweisen müssen, dass ihre Cyber-Sicherheit auf einem aktuellen Stand ist, sind gut beraten hierfür einen CISO zu implementieren.
  • •  Interdisziplinärer Ansatz aus IT, Recht, HR und Kommunikation: Oft wird Cybersicherheit aus technologischer Sicht betrachtet und als funktionale Verantwortlichkeit der IT im Unternehmen verankert. Sowohl vor einer möglichen Krise als auch im Akutfall kommt jedoch auch den Bereichen Recht, Kommunikation und HR eine erfolgskritische Bedeutung zu. Nur durch einen ganzheitlichen Ansatz und das nahtlose Zusammenwirken aller Disziplinen kann eine bestmögliche Krisenprävention und -vorbereitung gelingen. IT und Recht schaffen beispielsweise die Voraussetzungen, um in der Kommunikation gegenüber Versicherern und weiteren Stakeholdern nachweisen zu können, dass alle erforderlichen und möglichen Vorkehrungen getroffen sind. Abhängig von der internen Expertise, kann auch ein Netzwerk aus externen Spezialisten helfen.
  • •  Mensch im Mittelpunkt: 9 von 10 Cyber-Attacken werden durch menschliches Fehlverhalten ermöglicht. Deshalb muss ein besonderes Augenmerkt auf die Sensibilisierung der Belegschaft gelegt werden. Alle Mitarbeitenden im Unternehmen müssen sich der Risiken und Fehlerquellen sowie ihrer persönlichen Verantwortung bewusst sein. Dies erfordert regelmäßige Aufklärungsarbeit, die vertiefende Auseinandersetzung in Interaktionsformaten sowie Penetrationstests.
  • •  Destigmatisierung und Fehlerkultur: Viele Unternehmen gehen zurückhaltend und verschlossen mit einem Cyber-Vorfall um, oft aus Sorge vor negativen Konsequenzen. Das gleiche gilt für Mitarbeitende, die befürchten einen Fehler zu begehen bzw. begangen zu haben. Diese Zurückhaltung kann fatal sein. Deswegen gilt es einen möglichst offenen und konstruktiven Umgang mit Cyber-Risiken zu etablieren. So werden mögliche Krisenherde früher erkannt und der drohende Schaden reduziert.
  • •  Definierte Strukturen und Abläufe: Bei einem Cyberangriff zählt jede Sekunde. Mitarbeitende, Kunden, Kapitalmarkt, Behörden und weitere Stakeholder verlangen kurzfristig Informationen und Antworten auf zahlreiche Fragen. Dabei müssen Unternehmen mit einer unklaren und dynamischen Sachlage umgehen. Ohne einen Krisenstab mit klar definierter Rollenverteilung sowie festgelegten Informations-, Redaktions- und Freigabeprozessen ist dies nahezu unmöglich. Hierbei gilt es nicht nur, einen Krisenstab für den Ernstfall zu haben, sondern diesen auch richtig besetzen zu können. Mitglieder sollten entscheidungsbefugte Vertreter der betroffenen und an der Behebung beteiligten Abteilungen sein (u.a. IT, Kommunikation, HR, Recht & Management). Für die Leitung und Aufgabenverteilung im Krisenstab bietet sich je nach Unternehmensgröße der CISO an oder ein direkt an den Vorstand berichtender Krisen- oder Risikomanager. Die Aufgaben und Abläufe im Krisenstab sollten vorgefertigten Notfallplänen folgen. Darin sollten sich etwa Melde- und Informationsketten, Ansprechpartner, Hierarchien, Maßnahmen-Priorisierungen sowie Vorlagen für verschiedene Szenarien, Reaktionen und die Dokumentation des Vorfalls finden.
  • •  Simulieren und Trainieren: Im Krisenstab und darüber hinaus sollte der Ernstfall simuliert und trainiert werden. Unternehmen können eine Cyberattacke inszenieren und die eigene Infrastruktur testen. Dies kann sowohl unangekündigt unter realen Bedingungen neben dem Tagesgeschäft erfolgen als auch angekündigt in einem geschützten Rahmen. Dies dient zum einen als Training, als auch zur Prüfung der Wirksamkeit der Krisenvorbereitung.
  • •  Kontinuierlicher Prozess: Krisenprävention und -vorbereitung sind eine Daueraufgabe. Mit zunehmender Digitalisierung im Unternehmen ergeben sich neue Angriffsflächen. Gleichzeitig entwickeln sich die technologischen Möglichkeiten und Strategien der Angreifer weiter. Deswegen gilt es die eigene Krisenprävention und -vorbereitung laufend zu überprüfen und weiterzuentwickeln. Es gilt zudem, auch abgewehrte und erfolgreiche Cyberattacken zu analysieren, um daraus zu lernen.

In Nicht-Krisenzeiten vorbereiten

Wie auch Menschen, befassen sich Organisationen ungern mit unangenehmen und negativen Themen, wenn sie nicht akut sind. So besteht in Nicht-Krisenzeiten oft kein Handlungsdruck und es fehlt an Motivation, Priorität und Investitionsbereitschaft. Und gerade für Industrieunternehmen ist die Implementierung von Sicherheitsmaßnahmen oft mit Produktionsstopps verbunden. Wenn eine Krise aber akut wird und der Handlungsdruck steigt, steigt notgedrungen auch die Handlungsbereitschaft. Auch das zeigt der Fall Continental: Der Automobilzulieferer hat als Reaktion auf den Angriff die Datensicherheit intern zum Thema Nummer 1 gemacht. Mehr als 300 Mitarbeitende sind mit der Aufarbeitung des Falls vertraut. KPMG wurde als externe Beratung hinzugezogen und die eigene Organisationsstruktur wurde angepasst, um in Krisensituationen besser aufgestellt zu sein. Dies sind Maßnahmen, die insbesondere in der Kürze der Zeit und unter Hochdruck sehr viel Ressourcen und Energie beanspruchen. Die Erkenntnis, dass man die Maßnahmen besser im Vorfeld ergriffen hätte, um den Angriff abzuwehren oder abzumildern, mag nach ‘hinterher ist man immer schlauer’ klingen, greift aber angesichts der hohen Eintrittswahrscheinlichkeit und des Schadenspotenzials von Cyber-Attacken zu kurz. Denn die Frage ist nicht, ob ein Unternehmen davon betroffen ist, sondern wann. Krisenprävention und -vorbereitung sollten daher in jedem Unternehmen weit oben auf der Agenda stehen und laufend weiterentwickelt und verbessert werden.

Das könnte Sie auch interessieren

Data Sharing birgt großes Potenzial, wird aber kaum genutzt. Rechtssicherheit, gemeinsame Modelle und finanzielle Anreize könnten Unternehmen zum Teilen bewegen, so repräsentative eine ZEW-Studie mit 1.400 Firmen.‣ weiterlesen

Laut der Staufen-Studie 'Performance-Treiber 2024' gehen acht von zehn der mehr als 200 befragten Industrieunternehmen davon aus, dass die Einführung neuer Technologien für einen Produktivitätsschub sorgen wird. Vor allem in der Datenanalyse werden große Potenziale gesehen.‣ weiterlesen

Mehr als 700 Ingenieure und Entwickler geben in aktueller Protolabs-Studie Einblicke zu momentanen und künftigen Herausforderungen der Produktentwicklung. Demnach wissen Unternehmen mit Problemen wie etwa Materialknappheit umzugehen. Andere Einflussfaktoren wirken sich jedoch stärker aus.‣ weiterlesen

Betriebs- und Produktionsleiter müssen sich seit Juli 2023 mit neuen Vorgaben zur Maschinensicherheit befassen. Die EU-Maschinenverordnung 2023/1230 (MVO) ersetzt die bisherige Maschinenrichtlinie (MRL). Sie erweitert den Kreis der Betroffenen, liefert einheitliche Begriffe und passt die Anforderungen an den Stand der Technik an. Zudem erfasst das Gesetz nun auch die Digitalisierung.‣ weiterlesen

Das TCS Thought Leadership Institute hat rund fast 1.300 CEOs und Führungskräfte zum Thema künstliche Intelligenz befragt. Mehr als die Hälfte der Befragten glaubt demnach, dass die Bedeutung von KI größer oder gleich groß sein wird wie die des Internets (54 Prozent) und des Smartphones (59 Prozent). Um von den Effekten durch KI zu profitieren, müssen sich jedoch vielerorts auch Strukturen ändern.‣ weiterlesen

Deutsche und Schweizer C-Level Manager sehen besonders für das Homeoffice Handlungsbedarf, um dort in der Zukunft sensible Daten besser zu schützen. Die Österreicher halten Smart-Building-Technologien für anfällig. Dies zeigen die Ergebnisse einer Studie des Security-Spezialisten Sophos.‣ weiterlesen

Leistungsfähige Mikrochips sind entscheidend für den erfolgreichen Einsatz von künstlicher Intelligenz (KI). Das am Karlsruher Institut für Technologie koordinierte, vom Bundesforschungsministerium geförderte Projekt EDAI verfolgt einen neuen Ansatz: Die Forschenden koppeln den Entwurf von KI-Algorithmen und KI-Chips.‣ weiterlesen

Washtec produziert Autowaschtechnik für Kunden auf der ganzen Welt. Der Erfinder der Portalwaschanlage beschäftigt rund 1.800 Angestellte in mehr als 80 Ländern und hat mehr als zehntausend Waschanlagen an sein Kundenportal angeschlossen. Die anfallenden Daten werden dazu genutzt, den Anlagenbetrieb zu optimieren und neue Services zu ermöglichen.‣ weiterlesen

Was mit Produkten wie Siri oder Alexa für das eigene Zuhause bereits im Alltag angekommen ist, könnte auch in Produktionsumgebungen Mehrwerte schaffen - die Sprachsteuerung von Maschinen. Der Embedded-KI-Spezialist Aitad zeigt die Möglichkeiten auf.‣ weiterlesen

Der Forschungsbeirat Industrie 4.0 stellt mit seiner Engineering-Roadmap und den darin enthaltenen Themenblöcken einen Rahmen für konkrete Forschungsschwerpunkte der nächsten zehn Jahre vor. Im Mittelpunkt stehen vier Hauptthemen.‣ weiterlesen

Die SPS wird im nächsten Jahr (2025) vom 25. bis zum 27. November in Nürnberg stattfinden und somit wieder auf den seit vielen Jahren bekannten Zeitraum zurückkehren.‣ weiterlesen